Franse waakhond begint onderzoek naar mogelijke privacyschendingen van Clubhouse

De Franse privacywaakhond CNIL is een onderzoek begonnen naar Clubhouse vanwege zorgen rondom de privacybescherming van de app. CNIL wil kijken of de app aan de Europese privacywetgeving moet voldoen, ook al heeft het geen Europees kantoor.

De Commission nationale de l'informatique et des libertés zegt dat het een onderzoek is begonnen en de eerste vragen heeft gesteld aan Alpha Exploration, het Amerikaanse moederbedrijf van Clubhouse. Dat gebeurde na een klacht, al is niet bekend van wie die kwam. Het onderzoek draait om de vraag of Clubhouse moet voldoen aan de AVG en of het dat ook doet.

De CNIL concludeerde op basis van de eerste antwoorden al dat het mag handhaven op Clubhouse. Het bedrijf heeft geen kantoor heeft in Europa. Daardoor is het zogenaamde 'een-loketmechanisme' uit de AVG niet van toepassing. Onder die regel moet een bedrijf met een Europees kantoor verantwoording afleggen aan de toezichthouder in dat land, maar dat hoeft bij Clubhouse dus niet. CNIL ziet zichzelf daarom bevoegd om het bedrijf te onderzoeken. "Het onderzoek moet bevestigen dat de AVG van toepassing is op het bedrijf en bepalen of deze wordt genegeerd", schrijft de CNIL. De waakhond zegt dat het maatregelen kan treffen zoals verwerkingen verbieden of boetes uitdelen.

Naast de officiële klacht bij CNIL gaat er in Frankrijk ook een petitie rond die de CNIL oproept de dienst te onderzoeken op mogelijke privacyinbreuk. Clubhouse krijgt al langer kritiek vanwege mogelijke privacyschendingen. Zo werd metadata onversleuteld verstuurd, bleek het mogelijk gesprekken zonder login mee te luisteren en werden alle telefooncontacten standaard naar de dienst gestuurd. Over die problemen schreven we in februari al een Plus-artikel. Clubhouse is een app voor iPhones die het mogelijk maakt live gesprekken te voeren en te volgen.

Reacties (17)

Betekent dit dat je eigenlijk geen enkele app mag uitbrengen die ergens ter wereld mogelijk een wet schendt?
Of zit het genuanceerder in elkaar?

Betekent dit dat je eigenlijk geen enkele app mag uitbrengen die ergens ter wereld mogelijk een wet schendt?

Het ligt eraan op welke markt jij je richt met die applicatie.

Stel dat de applicatie of dienst enkel in het Nederlands beschikbaar is, je enkel iDEAL als betalingsmethode ondersteunt, etc., dan zal het aan de Nederlandse wetgeving moeten voldoen, omdat het zich overduidelijk specifiek op Nederlanders richt. Hierbij maakt het niet uit door wie of waar de applicatie of dienst wordt ontwikkeld/aangeboden.

Als jij het toestaat dat een gebruiker uit land X zich aanmeldt bij jouw dienst en dat deze gebruiker de dienst kan gebruiken, dan lever je expliciet diensten aan land X. Daarmee zal je je aan de wetgeving van dat land moeten houden. Al wil je dat niet, dan moet je alles tot in het redelijke doen om die gebruiker uit land X te blokkeren (vragen uit welk land die komt, geolocatie gebaseerde IP controle tijdens het registreren, etc.).

[Reactie gewijzigd door The Zep Man op 18 maart 2021 14:07]

vraag is daar door alle landen ondertekende internationale wetgeving voor?

ik snap dat dit vanuit de eu gedachte makkelijk is, maar stel ik opereer vanuit land x. alle server staan in land x en betalingen gaan via cc naar land x. Dan kan ik ook een stelregel hanteren ik opereer onder de wetgeving van land x en als een ander land vindt dat haar onderdanen er geen gebruik van mogen maken dan moeten ze het maar blokkeren

Ik vraag me dit ook af.

Stel ik begin een dienst in Amerika.
Waarbij je mij gratis een brief kan sturen, en ik stuur die brief dan door naar een door jou gekozen adres in Amerika.
Ik accepteer brieven uit alle landen.
Je moet wel even je telefoonnummer in de brief zetten, want die wil ik graag "verkopen".
Anders stuur ik de brief niet door.

Hoe zit dat qua wetgeving dan in elkaar? Want dat is eigenlijk hetzelfde als je server in Amerika zetten en verzoeken vanuit Nederland accepteren.

[Reactie gewijzigd door Zynth op 18 maart 2021 15:57]

Je zult je inderdaad gewoon aan de wetten moeten houden van de landen waarin je werkt. Dat is niets nieuws, dat werkt al millennia zo. En wat in het ene land wel mag, mag in het andere land niet.

Dus ja, als jij in verschillende landen zaken doet, zal je aan verschillende wetten moeten voldoen. In Nederland mag je app het bijvoorbeeld niet mogelijk maken om alcohol te verkopen aan mensen van onder de 16. In Amerika is dat ongetwijfeld pas vanaf 21 jaar. Dus ja, dan zal je 2 verschillende versies van je app moeten uitbrengen.

Je hebt natuurlijk gelijk maar het zit in deze zaak wel iets complexer aangezien Clubhouse tot op zekere hoogte aannemelijk kan maken dat niet-Amerikanen die zich aanmelden bij Clubhouse onbedoelde bijvangst zijn. Zolang ze geen kantoor in de EU hebben, niet actief marketen naar Europeanen, geen iDeal/Bancontact/SEPA implementeren etc. zal het aan de CNIL zijn om te bewijzen dat ze toch echt actief zaken hier doen.

Als dat niet zo was dan werd iets publiceren op internet een drama. Stel je voor dat jouw in Nederland gehoste website ineens aan de wetten van Saoedi-Arabië of de VS zou moeten voldoen omdat iemand daar jouw website kan bezoeken.

Clubhouse verspreid zich door bestaande gebruikers nieuwe te laten uitnodigen. Dat gebeurt per SMS. Door Franse nummers toe te staan werven ze naar mijn idee bewust actief Franse gebruikers.

Bij e-mail of andere vormen van werving had men het bijvangst argument kunnen gebruiken, maar bij telefoonnummers denk ik dat die vlieger niet op gaat.

Sec genomen is je statement juist: je mag geen alcohol verkopen aan mensen onder de 16. Boven de 16 ook niet trouwens, tenzij...

Voor de volledigheid: de minimum alcoholleeftijd in Nederland is 18. Al sinds 2014.

Het zit genuanceerder in elkaar.

Überhaupt staat het uitbrengen van een app niet ter discussie, het gaat om het aanbieden van een dienst (eventueel via die app). Als je die wereldwijd beschikbaar stelt loop je het risico dat men wereldwijd ingrijpt per rechtsgebied (meestal op nationaal niveau), en eventueel blokkeert en/of verbiedt.

Lijkt me genuanceerder; je app (of service, of product) moet voldoen aan de wetgeving die in het land waar deze ingezet of gebruikt wordt (of beschikbaar is) geldt.

Niet-Europese bedrijven moeten hun Europese websites aanpassen volgens de AVG. Niet-Europese productiebedrijven moeten zorgen voor bijv. een CE logo en andere certificering die geldt in Europa (of EU).

Betekent dit dat je eigenlijk geen enkele app mag uitbrengen die ergens ter wereld mogelijk een wet schendt?
Of zit het genuanceerder in elkaar?

Dat is van de grote vragen voor de toekomst van Internet. Hoewel het geen helemaal nieuw probleem is dat mensen in het ene land hebben van een bedrijf uit een ander land was dat in het verleden toch vrij zeldzaam een het terrein van grote bedrijven en internationale reizigers.
Tegenwoordig heeft iedereen via internet dagelijks te maken met buitenlandse bedrijven die zich uiteraard niet gebonden voelen aan de wetten van andere landen. En overal ter wereld zie je hetzelfde probleem. De lokale regering wil de eigen burgers beschermen (wat dat ook moge betekenen) tegen gevaren maar staat machteloos als het om internet gaat.

Uiteindelijk komen al dit soort vragen neer op 1 cynisch punt: wie heeft er een stok om mee te slaan? Als je een buitenlands bedrijf op geen enkele manier kan raken dan zal je niks bereiken. De gebruikelijke oplossingen is dat landen daar onderling afspraken over maken, bv door elkaars verkeersboetes te erkennen en door te sturen. Maar dat wordt wat lastiger als het om wat meer princiele zaken gaat als persvrijheid, religie of sexualiteit. Daar staan landen soms lijnrecht tegenover elkaar en is er geen enkel samenwerkingsverband nodig omdat het ene land verbiedt wat het andere land verplicht stelt.

Sommige rijke en machtige landen (zoals Frankrijk en Nederland) zijn in staat om hun invloed over de grens heen te doen gelden omdat we manieren hebben om zo'n bedrijf over de grens heen pijn te doen. Maar meestal is dat vrij moeilijk.

Ik ben bang dat we het gaan oplossen zoals China: een grote muur om heel internet bouwen zodat jede regering heel selectief kan bepalen wat er het land in komt. De eerste stappen hebben we al genomen, bijvoorbeeld door ISP's te dwingen om sites zoals Piratebay te blokkeren.

Op het eerste gezicht lijkt het misschien een redelijke oplossing om heel selectief bepaalde sites te verbieden, maar praktisch gezien kan het niet lang goed gaan. We zijn internet namelijk steeds beter aan het versleutelen met end-to-end encryptie en we doen steeds meer in 'de cloud' waar systemen razendsnel van functie wisselen en sites nu eens hier, dan weer daar draaien. Daardoor wordt het steeds moeilijker om "van buiten" te zien waar internetverkeer vandaan komt of naartoe gaat. Als je dat toch wil doen zul je dus steeds meer bij de gebruiker op schoot moeten gaan zitten om precies te zien wat die doet op internet.

Volgens mij kom je dan op een hellend vlak terecht dat alleen kan eindigen bij meekijksoftware van de overheid op ieder apparaat dat iedere verbinding controleert op verboden data.

Ik wil even benadrukken dat ik niet zo paranoide ben dat ik denk dat onze regering die situatie nastreeft. Ik probeer te zeggen dat we niet moeten proberen om al onze problemen op te lossen met internetblokkades want die kunnen niet werken zonder Noord-Korea-achtige maatregelen te nemen. Daarbij maak ik me niet echt zorgen over boze opzet, maar meer over onkunde zoals Grapperhuis die het nog steeds denkt over 'veilige encryptie met een achterdeurtje' wat zoiets is als een 'onzinkbare duikboot' of een 'ingebouwde afstandsbediening'. Het lijkt zo logisch om internet af te sluiten met een virtuele slagboom en douane aan de grens dat er vast nog een hoop politici zijn die het wel willen proberen.

Internet is zo dynamisch dat je nooit selectief genoeg kan filteren
Maar gezien de dynamische aard van internet kan dat nooit werken zonder voort

Frankrijk maakt wel werk van de grote sociale media en dat siert ze enorm!

Als de app via een Europese AppStore wordt aangeboden, hoe zit het dan?

Producten/diensten die in Europa verkocht/aangeboden worden, moeten toch altijd aan Europese en/of nationale wet- en regelgeving voldoen?

Volgens mij kan je in de Play Store inderdaad aangeven dat een app alleen in specifieke landen vindbaar moet zijn. Als je dat dus niet instelt op US of A lijkt het me dat je bewust kiest om de hele wereld maar mee te laten doen. Voorzover ik weet is het niet echt een verborgen optie namelijk. Het argument van bijvangst wat anderen noemen lijkt mij niet te gelden.

Hoe het exact bij de App Store van Apple gaat, no idea. Maar die zullen ook wel geofencing ondersteunen denk ik.

Ik herinner mij een tijd van privacy, dat was een tijd van de home computers zoals C64, Amiga 500 of de MSX 1 of MSX 2, nu herinner ik mij alleen nog dat we geen van allen meer privacy kennen zoals toen. De PC Personal Computer is niet meer iets persoonlijks, ik keek op tegen de mensen die een PC hadden met mijn toendertijd Amiga 500, doch privacy? Wat is privacy in deze moderne wereld, de PC is uiteraard geen echte personal computer meer. En om dan toch diep te gaan? Installeer TempleOS, 64 Bit op je computer, geen netwerk mogelijk, maar wel 100 procent privacy*)

*) Met uitzondering van Intel Management CPU's die vanaf afstand bedient kunnen worden.